🇰🇷 한글 설명
Eclipse Milo 1.0.0부터 1.1.4 버전의 OpcUaServerConfig.copy() 메서드에서 설정된 RoleMapper가 보존되지 않는 취약점이 발견되었습니다. 이로 인해 역할 기반 권한 제어가 무력화되어, 익명 사용자가 보호된 메서드를 호출하거나 노드를 삭제하는 등 권한 없는 작업을 수행할 수 있습니다.
💡 쉬운 설명
서버 설정 복사 과정에서 보안 규칙(역할 관리자)이 누락되는 오류가 발생했습니다. 이 때문에 권한이 없는 사용자도 마치 관리자처럼 시스템의 중요한 데이터를 읽거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
In Eclipse Milo versions 1.0.0 through 1.1.4, `OpcUaServerConfig.copy()` fails to preserve a configured `RoleMapper`. On servers that rely on role permissions and construct the running configuration through `copy()`, sessions receive no role IDs and the default access controller skips role-permission checks, allowing an anonymous client where anonymous sessions are permitted to read role-permission metadata, invoke protected methods, or delete protected nodes.
📍 영향받는 시스템
Eclipse Milo versions 1.0.0 through 1.1.4
⚔️ 공격 벡터
익명 세션 허용 서버를 대상으로 권한 검사 우회를 통한 비인가 명령 실행
🛡️ 대응 방법
Eclipse Milo를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 1.0.0에서 1.1.4 사이인지 확인하십시오.
mvn dependency:list | grep 'milo-sdk-server'